TOM

Art. 32 DSGVO verlangt, dass Unternehmen ein Schutzniveau umsetzen, das dem Risiko der Datenverarbeitung angemessen ist, ohne konkrete Einzelmaßnahmen fest vorzuschreiben. Technische Maßnahmen betreffen dabei die Systeme selbst, etwa Verschlüsselung, Zugriffskontrolle oder Backups; organisatorische Maßnahmen betreffen Abläufe und Menschen, etwa Berechtigungskonzepte, Schulungen oder klare Zuständigkeiten. Beide Kategorien zusammen ergeben die TOM eines Unternehmens.

In der Praxis werden TOM meist in einem Dokument zusammengefasst, das beschreibt, welche konkreten Maßnahmen für welche Systeme gelten, etwa wer Zugriff auf den NVR mit den Videoaufzeichnungen hat, wie Passwörter verwaltet werden oder wie Backups abgesichert sind. Dieses Dokument wird häufig als Anhang zu einem Auftragsverarbeitungsvertrag verlangt, weil ein Auftraggeber wissen muss, wie ein Dienstleister seine Daten schützt. TOM sind kein einmaliges Dokument, sondern müssen mit neuen Systemen und Risiken mitwachsen.

Ein häufiges Missverständnis: TOM ist keine feste Checkliste, die überall gleich aussieht. Welche Maßnahmen angemessen sind, hängt vom konkreten Risiko der jeweiligen Verarbeitung ab, und was für ein Fertigungsbetrieb ausreicht, kann für eine Arztpraxis zu wenig sein. Wie die eigenen TOM im Detail auszugestalten sind, ist letztlich eine Frage, die der Betrieb mit seiner Rechtsberatung klärt.